AFX Trade, decentralizovana perpetual berza koja se settluje u dolaru vezanom stablecoinu USDC, ostala je u srijedu bez oko 24,15 miliona USDC nakon što je napadač kompromitovao privatne ključeve za potpisivanje validatora na mostu koji protokol vodi na Arbitrumu. Radi se, kako je i ove sedmice postalo pravilo, o kompromitovanju izvan lanca, a ne o zloupotrebi propusta u pametnom ugovoru. Pametni ugovor je uradio ono za šta je namijenjen, provjerio potpis i izvršio transakciju, dok je problem bio u privatnim ključevima (hot ključevima koje operatori ili validatori mosta drže offchain) koji su te potpise generisali.
Steven Goldfeder, suosnivač kompanije Offchain Labs koja razvija i održava mrežu, poručio je da matični most Arbitruma „nije hakovan niti na bilo koji način zloupotrijebljen“ i da transakcija potiče iz protokola treće strane. Hakovanje samog mosta Arbitruma signaliziralo bi rizik za cijelu layer-2 mrežu, dok je kompromitovani protokol koji radi na njoj kontrolisan, izolovan otkaz.
Sigurnosna firma Blockaid saopštila je da on-chain logika nije zaobiđena. Umjesto toga, pet potpisa hot-validatora mosta, odobrenja koja autorizuju isplatu, potpisalo je prenos 24.150.000 USDC na novčanik napadača, čime je pređen kvorum od otprilike dvije trećine koji most zahtijeva. „Blockaid je detektovao exploit u 21:30 UTC 22. jula, usmjeren na AFX, protokol na Arbitrumu. Exploit je bio specifičan za most koji AFX vodi. Do sada je iz protokola izvučeno približno 24,15 miliona USDC“, navela je firma. Ugovor je isplatu tretirao kao validnu i oslobodio sredstva nakon perioda osporavanja od 200 sekundi.
Napadač je potom prebacio ukradeni USDC na Ethereum i zamijenio ga za oko 12.467 ETH, vrijednih približno 24 miliona dolara, koji prema on-chain pratiocima sada stoje u jednom novčaniku. Incident je sličan gubitku od oko 285 miliona dolara koji je u aprilu pretrpio Drift Protocol, gdje su napadači mjesecima gradili put do privilegovanog pristupa umjesto da probijaju ugovor.
Gubitak dolazi u teškom periodu za sigurnost u kriptu, uz drugi kvartal koji je među najgorima po broju hakova ikada zabilježenih i niz protokola na Arbitrumu pogođenih u kratkom razmaku, uključujući exploit orakla koji je sedmicu ranije izvukao zasebnih 18 miliona dolara sa RWA platforme Ostium. Aktivnost AFX-a naglo je rasla uoči napada, sa dnevnim obimom perpetuala koji je sredinom jula skočio na višemjesečne maksimume, prema podacima DefiLlame, pa je izvučenih oko 24 miliona dolara činilo skoro cijeli total value locked protokola.
Izvor: CoinDesk